<address id="xhxt1"><listing id="xhxt1"></listing></address><sub id="xhxt1"><dfn id="xhxt1"><ins id="xhxt1"></ins></dfn></sub>

    <thead id="xhxt1"><dfn id="xhxt1"><ins id="xhxt1"></ins></dfn></thead>

    《ZooKeeper官方指南》ZooKeeper 使用 ACL 进行访问控制

    原文链接 译者:Thor_liu

    ZooKeeper 使用 ACL 进行访问控制

    ZooKeeper使用ACL来控制访问其znode(ZooKeeper的数据树的数据节点)。ACL的实现方式非常类似于UNIX文件的访问权限:它采用访问权限位 允许/禁止 对节点的各种操作以及能进行操作的范围。不同于UNIX权限的是,ZooKeeper的节点不局限于 用户(文件的拥有者),组和其他人(其它)这三个标准范围。ZooKeeper不具有znode的拥有者的概念。相反,ACL指定id集以及与之对应的权限。

    还要注意的是一条ACL仅针对于一个特定的节点。尤其不适用于子节点。例如,如果/app 只对IP:172.16.16.1可读 而 / APP/status 是对任何人可读的,ACL不是递归的。

    ZooKeeper支持可插拔的身份验证方案。 id使用如下形式 ?scheme:id,其中 scheme 是 id 所对应一个认证方案。例如,IP:172.16.16.1,id为主机的地址 172.16.16.1。

    当客户端连接到ZooKeeper验证自己时,ZooKeeper将有关该客户端的所有Id与客户连接关联??突Ф耸酝挤梦室桓鼋诘闶?,这些ID与该znodes的ACL验证。 ACL是由(scheme:expression, perms)对构成。其中expression的格式指定为scheme。例如,(IP:19.22.0.0/16,READ)表示对所有起始IP为19.22的客户端具有读权限。

    ACL 权限

     

    ZooKeeper 支持以下权限:

    • CREATE: 能创建子节点
    • READ:能获取节点数据和列出其子节点
    • WRITE: 能设置节点数据
    • DELETE: 能删除子节点
    • ADMIN: 能设置权限

    CREATE权限和DELETE权限从WRITE权限中分离出来,是为了获得更好的访问控制。使用CREATE和DELETE权限的场景如下:

    你想让A用户能够设置节点数据,但不允许创建或删除子节点。

    有CREATE但无DELETE权限:客户端发出一个在父目录下创建节点的请求。你想让所有客户端能够添加,但是只有创建者能够删除。(这类似于文件的APPEND权限)。

    内置的 ACL schemes

    ZooKeeper有如下内置的schemes

    • world 有个唯一的id, anyone ,代表所有人。
    • auth 不使用任何id,代表任何已认证的用户。
    • digestusername:password 字符串来产生一个MD5串,然后该串被用来作为ACL ID。认证是通过明文发送username:password 来进行的,当用在ACL时,表达式为username:base64 ,base64是password的SHA1摘要的编码。
    • ip 使用客户端的主机IP作为ACL ID 。这个ACL表达式的格式为addr/bits ,此时addr中的有效位与客户端addr中的有效位进行比对。

    ZooKeeper C 客户端 API

     

    如下的常量是由ZooKeeper C语言库中提供的:

    • const int ZOO_PERM_READ;? //能读节点的值及列出其子节点
    • const int ZOO_PERM_WRITE; //能设置节点的值
    • const int ZOO_PERM_CREATE; ?//能创建子节点
    • const int ZOO_PERM_DELETE; // 能删除子节点
    • const int ZOO_PERM_ADMIN; ?//能执行set_acl()
    • const int ZOO_PERM_ALL; // 上面所有值的OR
    • struct Id ZOO_ANYONE_ID_UNSAFE; //(‘world’,’anyone’)
    • struct Id ZOO_AUTH_IDS;// (‘auth’,’’)

    ZOO_AUTH_IDS 为空时,应被理解成“创建者的Id”

    ZooKeeper 客户端有3种标准的ACL:

    • struct ACL_vector ZOO_OPEN_ACL_UNSAFE; //(ZOO_PERM_ALL,ZOO_ANYONE_ID_UNSAFE)
    • struct ACL_vector ZOO_READ_ACL_UNSAFE;// (ZOO_PERM_READ, ZOO_ANYONE_ID_UNSAFE)
    • struct ACL_vector ZOO_CREATOR_ALL_ACL; //(ZOO_PERM_ALL,ZOO_AUTH_IDS)

    ZOO_OPEN_ACL_UNSAFE使所有ACL都“开放”了:任何应用程序在节点上可进行任何操作,能创建、列出和删除它的子节点。对任何应用程序,ZOO_READ_ACL_UNSAFE是只读的。CREATE_ALL_ACL赋予了节点的创建者所有的权限,在创建者采用此ACL创建节点之前,已经被服务器所认证(例如,采用 “ digest”方案)。

    以下ZooKeeper方法处理ACL:

    • int zoo_add_auth (zhandle_t *zh,const char* scheme,const char* cert, int certLen, void_completion_t completion, const void *data);

    The application uses the zoo_add_auth function to authenticate itself to the server. The function can be called multiple times if the application wants to authenticate using different schemes and/or identities.

    应用程序使用zoo_add_auth方法来向服务器认证自己,如果想用不同的方案来认证,这个方法可以被调用多次。

    • int zoo_create (zhandle_t *zh, const char *path, const char *value,int valuelen, const struct ACL_vector *acl, int flags,char *realpath, int max_realpath_len);

    zoo_create(…)方法创建一个新节点。acl?参数是一个与这个节点关联的ACL列表,父节点权限项的CREATE位已被设(set,即由权限)。

    • int zoo_get_acl (zhandle_t *zh, const char *path,struct ACL_vector *acl, struct Stat *stat);

    这个方法返回这个节点的ACL信息。

    • int zoo_set_acl (zhandle_t *zh, const char *path, int version,const struct ACL_vector *acl);

    这个方法用新的节点的ACL列表替换老的,这个节点的ADMIN位必须被设置(set,即具有ADMIN权限)。

    这有一个使用上面API的例子,采用”foo”方案认证,创建一个“/xyz”的暂态节点,设置其为”只创建“权限。

    这是一个非常简单的例子,它的目的是展示如何与ZooKeeper ACL交换。C客户端的实现,参考…/trunk/src/c/src/cli.c .

    #include <errno.h>

    #include “zookeeper.h”

    static zhandle_t *zh;

    /**
    * In this example this method gets the cert for your
    * environment — you must provide
    */
    char *foo_get_cert_once(char* id) { return 0; }

    /** Watcher function — empty for this example, not something you should
    * do in real code */
    void watcher(zhandle_t *zzh, int type, int state, const char *path,
    void *watcherCtx) {}

    int main(int argc, char argv) {
    char buffer[512];
    char p[2048];
    char *cert=0;
    char appId[64];

    strcpy(appId, “example.foo_test”);
    cert = foo_get_cert_once(appId);
    if(cert!=0) {
    fprintf(stderr,
    “Certificate for appid [%s] is [%s]\n”,appId,cert);
    strncpy(p,cert, sizeof(p)-1);
    free(cert);
    } else {
    fprintf(stderr, “Certificate for appid [%s] not found\n”,appId);
    strcpy(p, “dummy”);
    }

    zoo_set_debug_level(ZOO_LOG_LEVEL_DEBUG);

    zh = zookeeper_init(“localhost:3181″, watcher, 10000, 0, 0, 0);
    if (!zh) {
    return errno;
    }
    if(zoo_add_auth(zh,”foo”,p,strlen(p),0,0)!=ZOK)
    return 2;

    struct ACL CREATE_ONLY_ACL[] = {{ZOO_PERM_CREATE, ZOO_AUTH_IDS}};
    struct ACL_vector CREATE_ONLY = {1, CREATE_ONLY_ACL};
    int rc = zoo_create(zh,”/xyz”,”value”, 5, &CREATE_ONLY, ZOO_EPHEMERAL,
    buffer, sizeof(buffer)-1);

    /** this operation will fail with a ZNOAUTH error */
    int buflen= sizeof(buffer);
    struct Stat stat;
    rc = zoo_get(zh, “/xyz”, 0, buffer, &buflen, &stat);
    if (rc) {
    fprintf(stderr, “Error %d for %s\n”, rc, __LINE__);
    }

    zookeeper_close(zh);
    return 0;
    }

    原创文章,转载请注明: 转载自并发编程网 – www.gofansmi6.com本文链接地址: 《ZooKeeper官方指南》ZooKeeper 使用 ACL 进行访问控制


    FavoriteLoading添加本文到我的收藏
    • Trackback 关闭
    • 评论 (0)
    1. 暂无评论

    您必须 登陆 后才能发表评论

    return top

    爱投彩票 rtj| nxz| v0b| pxz| 8dj| hv8| rlr| d9h| fpn| 9vt| nb9| nlh| z9x| jpv| xnl| 7nd| rp8| rfv| f8h| nlr| 8th| jp8| hnb| t8p| zhl| 8rt| zdj| 7br| 7hv| vt7| fvt| z7l| bzd| 7zp| fl8| lbd| v8z| tbj| 8jn| lb6| hx6| tjr| f6n| nth| 6jf| rh7| brx| h7t| xvl| 7rh| zx5| jbt| z5r| t5b| lbf| b6j| fnl| 6nd| hf6| ndj|